CVE-2026-16601 in CM Map Locations Plugin
सारांश
द्वारा VulDB • 25/08/2026
WordPress के लिए CM Map Locations – Visualize and share your locations in a few clicks प्लगइन में 2.1.8 संस्करण सहित सभी संस्करणों तक सीमित अनियंत्रित फ़ाइल अपलोड (Limited Arbitrary File Upload) की कमजोरी है, जो uploadMedia फ़ंक्शन के माध्यम से होती है। यह अपलोड हैंडलर में पर्याप्त फ़ाइल प्रकार सत्यापन की कमी के कारण होता है, जो move_uploaded_file() को हमलाकारी द्वारा प्रदान की गई फ़ाइलों को पास करने से पहले MIME-प्रकार जाँच या अपलोड क्षमता सत्यापन के बिना अधूरा एक्सटेंशन फ़िल्टरिंग करता है। इससे सब्सक्राइबर स्तर तक पहुँच और उससे ऊपर की अनुमतियों वाले प्रमाणीकृत हमलावरों को निष्पादन योग्य (executable) फ़ाइलें अपलोड करने का अवसर मिल जाता है, जिसके परिणामस्वरूप रिमोट कोड एक्जीक्यूशन (RCE) संभव हो जाता है। आवश्यक नॉन्स (nonce) फ्रंट-एंड लोकेशन एडिटर पेज पर CMLOC_Editor_Images जावास्क्रिप्ट ऑब्जेक्ट के माध्यम से लॉग इन किए गए किसी भी सब्सक्राइबर को प्रकट होता है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.